Avvia una prova

Note operative Osservatorio

DJI e la FCC: bandita per decreto, venduta con un altro nome

7 min di lettura

Drone in controluce al tramonto sopra un campo, sagoma senza marchi visibili
Un marchio può sparire dalla lista approvata restando comunque in volo sotto un altro nome.

Il 22 luglio 2026 la Federal Communications Commission adotta un pacchetto di regole che chiude quello che i suoi stessi documenti chiamano il «component part loophole»: un dispositivo che incorpora anche un solo componente hardware di un’azienda in «Covered List» non può più ottenere la certificazione, indipendentemente dal marchio sulla scocca. È l’ultimo passo di una vicenda aperta a dicembre 2025, quando la Commissione aveva messo DJI e Autel Robotics nella lista nera delle tecnologie a rischio per la sicurezza nazionale, bloccando l’omologazione di ogni nuovo drone del produttore cinese. Nei mesi successivi sono emerse nove società — Cogito, Fikaxo, Xtra Technology tra le altre — sospettate di vendere gli stessi droni sotto un’altra etichetta. Il caso più documentato, quello di Odyssey Robot, mostra quanto sia fragile la linea tra un prodotto davvero americano e uno solo dichiarato tale.

I fatti, in ordine

  • 22 dicembre 2025: la FCC aggiunge tutti gli UAS (droni) prodotti all’estero e i loro componenti critici alla «Covered List» del Secure Networks Act. DJI e Autel Robotics sono i produttori più colpiti: 14 prodotti già autorizzati perdono la certificazione.
  • 20 febbraio – 22 aprile 2026: DJI fa ricorso alla Corte d’Appello del Nono Circuito (caso 26-1029) contro la designazione; il Pentagono si oppone citando intelligence classificata, e DJI dichiara alla corte una perdita stimata di 1,56 miliardi di dollari per il 2026, legata a 25 lanci bloccati.
  • Maggio 2026: l’Enforcement Bureau della FCC invia richieste formali di informazioni a otto società — Cogito Tech, Fikaxo Technology, Lyno Dynamics, Skyhigh Tech, Spatial Hover, SZ Knowact, WaveGo Tech, Xtra Technology — sospettate di vendere hardware DJI ribrandizzato.
  • 28 maggio 2026: DJI presenta alla FCC un audit di sicurezza indipendente, commissionato alla società americana OnDefend sui modelli Air 3S e Matrice 4E: nessuna backdoor, nessuna trasmissione di dati fuori dagli Stati Uniti, zero vulnerabilità critiche o gravi in cinque mesi di test.
  • 5 giugno 2026: il ricercatore indipendente Konrad Iturbe pubblica un’analisi su Odyssey Robot, il cui drone era dichiarato «progettato in California e assemblato in Texas da eTak Worldwide Corporation». Contattata, eTak nega «qualunque rapporto» con Odyssey: è un’azienda di riciclo elettronico, non un assemblatore di droni. I test di conformità risultano eseguiti da TÜV Rheinland a Shenzhen, in Cina.
  • 1° luglio 2026: la FCC pubblica la bozza del Third Report and Order (ET Docket 21-232): chiude il vuoto del componente, impone la ricertificazione piena per ogni modifica fatta da un’entità in Covered List ed estende gli obblighi anche ai marketplace online.
  • 10-20 luglio 2026: la FCC propone multe da 25.000 dollari alle otto società per non aver risposto alle richieste di informazioni; alla scadenza del 20 luglio, nessuna replica.
  • 21 luglio 2026: la FCC amplia la lista a nove nomi, aggiungendo XAG, e propone il divieto di importazione e commercializzazione dei loro prodotti, definendoli «un rischio inaccettabile» per la sicurezza nazionale.
  • 22 luglio 2026: la Commissione adotta il Third Report and Order in seduta plenaria; lo stesso giorno apre un «Order to Show Cause» contro Odyssey Robot, che ha 10 giorni per spiegare perché le sue autorizzazioni non debbano essere revocate — la prima possibile revoca di questo tipo sotto le nuove regole. Il presidente della FCC Brendan Carr dichiara che il caso «invia il messaggio che la FCC non permetterà alle aziende che producono all’estero di eludere il divieto della Commissione».
  • Le reazioni: DJI dichiara che le preoccupazioni sulla sicurezza dei suoi dati «non sono fondate su prove e riflettono protezionismo, in contrasto con i principi di un mercato aperto». Il giornalista tecnologico Sean Hollister (The Verge) osserva che «il governo americano non ha mai fornito prove pubbliche specifiche» di una minaccia reale collegata ai droni stranieri.
  • Le non risposte: Odyssey Robot non ha mai risposto né alla richiesta iniziale della FCC né al successivo avviso di carenza. Nessuna delle otto società indagate ha risposto entro la scadenza del 20 luglio.

Sui fatti tecnici non c’è vera contestazione: la designazione di dicembre è stata impugnata in tribunale, l’audit indipendente di DJI non ha trovato backdoor, e la catena dichiarata da Odyssey Robot si è sgretolata non appena qualcuno ha verificato l’assemblatore indicato. Il nodo è un altro: un bando scritto bene sulla carta lascia comunque spazio a chi vuole aggirarlo, se nessuno verifica chi produce cosa, dove, e con quali componenti.

Lezione n. 1: un bando vale quanto la sua capacità di tracciare la filiera reale, non il marchio sulla scocca

DJI resta il maggiore produttore mondiale di droni consumer nonostante il bando; le nove società sospettate esistono perché rietichettare hardware esistente è più veloce che sviluppare un’alternativa. Per chi acquista tecnologia — enti pubblici, forze dell’ordine, operatori di infrastrutture critiche — il nome sulla fattura non è una garanzia: lo è solo una verifica indipendente di chi ha davvero progettato, assemblato e testato ciò che si compra. È lo stesso vuoto già osservato nel caso Hikvision: un ban ufficiale non chiude la questione se la triangolazione commerciale resta priva di controlli tecnici verificabili.

Lezione n. 2: un audit tecnico pulito non chiude un rischio dichiarato politico

L’audit OnDefend su DJI non ha trovato backdoor né trasmissioni di dati non autorizzate — ma la designazione di rischio resta in vigore, perché il fondamento della decisione non è (solo) tecnico: è la relazione strutturale fra un’azienda cinese e la legge sulla sicurezza nazionale del suo paese, indipendentemente da quanto siano pulite le singole release. Chi valuta un fornitore critico deve tenere separati i due piani — rischio tecnico verificabile e rischio geopolitico dichiarato — perché un audit chiude il primo, non il secondo. È il ragionamento alla base dei nostri controlli di conformità dual-use: la certificazione tecnica è condizione necessaria, mai sufficiente, quando la dipendenza è da un fornitore soggetto a un altro ordinamento.

Lezione n. 3: le regole di sicurezza nazionale si riscrivono mentre la partita è in corso

Il nuovo Third Report and Order non nasce dal nulla: restringe la definizione di «infrastruttura critica» perché una corte d’appello aveva giudicato eccessiva la formulazione precedente. Tra dicembre e luglio la Commissione ha già cambiato perimetro una volta — e lo cambierà ancora nella Further Notice appena aperta, che propone di dividere la Covered List per produttore e per luogo di produzione. Per chi pianifica investimenti pluriennali su tecnologie soggette a controlli export o dual-use, questo significa monitorare il perimetro normativo come un dato che cambia in corso d’opera, non come una condizione acquisita una volta per tutte. È lo stesso principio del caso NATO-Ankara sui droni europei: la conformità di oggi non certifica quella di domani.

Cosa fare

  1. Verificate la filiera dichiarata, non solo il marchio: chiedete prove verificabili di chi progetta, assembla e testa il prodotto, e controllatele con una fonte indipendente prima di firmare.
  2. Separate il rischio tecnico da quello geopolitico: un audit di sicurezza pulito non compensa una dipendenza strutturale da un fornitore soggetto a un ordinamento estero rilevante per la sicurezza nazionale.
  3. Inserite nei contratti l’obbligo di notifica di ogni cambio di designazione regolatoria del fornitore o dei suoi componenti critici, non solo delle modifiche di prodotto.
  4. Monitorate il perimetro normativo come variabile viva: le liste di sicurezza nazionale si correggono e si riscrivono — pianificate la sostituibilità dei fornitori critici prima che lo faccia un regolatore al posto vostro.

Gestite flotte di droni, sensori o componenti soggetti a controlli export e volete verificare quanto la vostra filiera dichiarata regge a un controllo indipendente? Mezz’ora con un nostro esperto per una prima mappa di rischi e fornitori critici.

Fonti